O conteúdo a seguir abrange vários conceitos e táticas para melhorar a segurança e mitigar trapaças nas suas experiências Roblox. É altamente recomendado que todos os desenvolvedores leiam estes conteúdos para garantir que suas experiências sejam seguras e justas para todos os usuários. Confira a barra lateral para tópicos adicionais sobre segurança.
Ativos de terceiros da Loja do Criador (Toolbox) são uma fonte comum de riscos de segurança, pois podem conter scripts maliciosos chamados de backdoors. Esses scripts dão aos seus criadores acesso não autorizado ao lado do servidor da sua experiência, permitindo que eles manipulem seu estado, roubem dados sensíveis ou interrompam a experiência para os seus jogadores.
Backdoors são particularmente perigosos porque frequentemente aparecem em modelos que parecem legítimos. Um prédio ou veículo aparentemente inocente pode conter um script que se ativa quando certas condições são atendidas, como quando um jogador específico entra ou um comando particular é executado. Quando um modelo contém scripts, isso é indicado na interface do usuário da Toolbox antes e durante a inserção.
Roblox modera Modelos para scripts maliciosos tanto proativamente quanto em resposta a relatórios, mas esse processo não garante a remoção de todos esses scripts.
Protegendo seu jogo
A defesa mais eficaz contra backdoors é o sandboxing. Quando você insere um modelo, deve conter seus scripts para impedir que código malicioso alcance APIs sensíveis ou afete sistemas fora do próprio modelo.
- Defina SandboxedInstance como Experimental em Workspace.
- Na janela de Propriedades, defina a propriedade Sandboxed do modelo como true.
- Configure a propriedade Capabilities para conceder apenas as permissões específicas que o ativo precisa para funcionar.
Observe que durante a versão beta, alguns recursos podem não funcionar como esperado quando Sandboxed, apresentando uma mensagem de erro dizendo "...faltando Capability Unassigned". Esses problemas serão corrigidos à medida que as Capabilities saírem da beta.
Tenha especial cuidado ao conceder capacidades de Network, DataStore, AssetRequire, CapabilityControl ou LoadString a ativos de terceiros, a menos que você entenda exatamente por que o ativo precisa delas. Essas capacidades fornecem acesso a sistemas poderosos que os backdoors costumam explorar.
Antes de usar qualquer ativo, inspecione cuidadosamente seus scripts. Preste atenção especial a códigos ofuscados ou incomumente complexos. Atores maliciosos frequentemente usam técnicas enganosas para esconder conteúdo prejudicial, como utilizar espaços em branco para posicionar código malicioso fora da tela quando visualizado no editor de estúdio. Considere favorecer ativos da comunidade altamente avaliados que foram verificados por outros desenvolvedores, embora lembre-se de que popularidade não garante segurança. Para orientações abrangentes sobre como configurar restrições de scripts, consulte Script Capabilities.
No futuro, planejamos automatizar a contenção de todos os ativos da Loja do Criador com Capabilities apropriadas.